PPLorer

PPLorer ist ein IDA-Plugin, das PPL-Aufrufe in die tatsächliche zugrunde liegende PPL-Funktion auflöst.

Installation

1. installiere ida-netnode irgendwo, wo IDA es importieren kann
2. klone das Repository und verlinke ~/.idapro/plugins/pplorer.py symbolisch auf pplorer.py im geklonten Repository

Verwendung

Vorbereitende Analyse

1. öffne eine IDB und stelle sicher, dass die Autoanalyse abgeschlossen ist
2. wähle im Menü Edit -> Plugins -> PPLorer -> Analyse IDB
3. fertig!

Kontinuierliche Nutzung

TL;DR CTRL-SHIFT-X oder Right Click -> Jump to PAC XREFs an geeigneten Stellen öffnet ein Auswahlfenster

Von der Aufrufstelle zur PPL-Funktion

1. platziere den Cursor auf einer Verzweigungsanweisung zum PPL-Gate (markiert mit einem Kommentar „has xref to PPL“).
2. drücke den Hotkey oder aktiviere den Menüeintrag
3. die passende PPL-Funktion erscheint.

Von der PPL-Funktion zu den Aufrufstellen

1. platziere den Cursor entweder auf der Startadresse einer PPL-Funktion
2. drücke den Hotkey oder aktiviere den Menüeintrag
3. eine Liste möglicher Aufrufstellen wird geöffnet

Funktionsprinzipien

PPL hat ein Gate, das alle Aufrufe vom Kernel erreichen. Vor diesem Gate legt jeder einzelne Aufruf in einem vorbestimmten Register (X15) den Selektor der PPL-Funktion ab, die er aufrufen möchte. Die Steuerung wird an den PPL-Dispatch übergeben, der prüft, ob eine gültige Funktion ausgewählt wurde, und dann zur Tabelle der PPL-Funktionen geht und sie aufruft. Wir finden den Dispatch, extrahieren die Größe der PPL-Funktionstabelle und ihre Adresse. Dann erkennen wir alle Aufrufe an das Gate von der Kernel-Seite und erhalten den PPL-Selektor, der in X15 gelegt wird. Für jeden Aufruf ordnen wir eine Funktion aus der PPL-Tabelle zu, und für jede Funktion in der PPL-Tabelle fügen wir alle passenden Kernel-Aufrufe hinzu.

Meta

Verfasst von Omer Porzecanski von Cellebrite Labs.
Basiert auf pacXplorer von Ouri Lipner, damals bei Cellebrite Labs.
Entwickelt und getestet für IDA 8 unter OS X, iOS 15.X+ für A12+

Ich möchte mit dir arbeiten

hier klicken (Remote-Talente willkommen)